情報セキュリティ 第12回

情報セキュリティ 第12回

大久保誠也 静岡県立大学経営情報学部

2/64

はじめに

 はじめに

 暗号化と範囲

 電子メールのセキュリティ

 情報セキュリティポリシー

 演習

3/64

暗号化と範囲

4/64

暗号化技術と範疇

 暗号化の実装は様々なものがあります。

 それぞれ、「何を暗号化するのか」「どこからどこまでを 暗号化するのか」が異なります。

 情報を守るためには

「今自分が使っている暗号化手法はどういうものか」

を正しく理解する必要があります。

電子メールの セキュリティ

セキュリティの知識が必要な例 2

これは何を言っているのでしょうか？

7/64

AliceからBobにメールを送る場合、

「Aliceのパソコン」→「Aliceのメールサーバー」

→「Bobのメールサーバー」 → 「Bobのパソコン」

と伝わっていく。

メールの経路の概略図

パソコン サーバー サーバー

パソコン

明日、10時

明日、10時

明日、10時

8/64

パスワードやメールの内容が、やりとりされる

やりとりされるデータ

メールの内容

サーバー サーバー

パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード

9/64

パスワードやメールの盗聴防止や、

メールの内容の改竄

守りたいもの

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴防止 改竄防止

盗聴防止

なりすましを 防止したい

盗聴防止

盗聴防止 改竄防止

10/64

POP



Post Office Protocolの略。

 メールを受信するときに、

「クライアントとサーバー間」で、

メールをやり取りするためのプロトコル。

パスワードで正しいユーザーか認証できる。

 ユーザーがメールを送信するときに、

「送信する前に一度POPで認証する」

という形でも使用される（POP before SMTP）

 パスワード、メールの内容、すべてが平文でやりとりさ れる。

11/64

POP：Post Office Protocol メールを受信するプロトコル

POP の概要

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴可能

改竄可能

盗聴可能 改竄可能

なりすまし可能

盗聴可能 盗聴可能

盗聴可能 改竄可能

12/64

APOP



Authenticated Post Office Protocolの略。

 メールを受信するときに、

「クライアントとサーバー間」で、

メールをやり取りするためのプロトコル。

パスワードで正しいユーザーか認証できる。

 メールを送信するときに、

「送信する前に一度POPで認証する」

という形でも使用される（POP before SMTP）

 パスワードのみ暗号化。メールの内容は平文のまま。

 脆弱性が見つかっているので、使用は推奨されない。

13/64

APOP：Authenticated Post Office Protocol

パソコンとサーバー間のパスワードのみを暗号化

APOP の概要

メールの内容

サーバー サーバー

パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴可能

改竄可能

盗聴可能 改竄可能

なりすまし可能

盗聴防止

盗聴防止

盗聴可能 改竄可能

14/64

POP over SSL

 メールを送信・受信するときに、

「クライアントとサーバー間」を、

暗号化するためのプロトコル。

パスワードで正しいユーザーか認証できる。

 「クライアントとサーバー間」は、パスワードも内容も暗 号化。

 「クライアントとサーバー間」は、内容は平文。



GmailをThunderbird等で利用した場合、この方法が

15/64

パソコン・サーバー間を暗号化

POP over SSL の概要

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴可能 改竄可能

なりすまし可能

盗聴防止

盗聴防止

盗聴防止 改竄防止

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

16/64

https利用のWebメール



httpsは、

「クライアントとサーバー間」の、

データを暗号化するためのプロトコル。



Webメールにログインするときのパスワードや、ブラウ

ザから入力した文章内容も暗号化される。

 ようするに、「クライアントのサーバー間」は、パスワー ドも内容も暗号化。

 「サーバーのサーバー間」は、内容は平文。



GmailやHotMail等でも利用できる。

パソコン・サーバー間を暗号化

https 利用の

Web メールの概要

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴可能 改竄可能

なりすまし可能

盗聴防止

盗聴防止

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

ここまでの説明では

メールの内容

サーバー サーバー パソコン

明日、10時

明日、10時

明日、10時

パスワード

メールの内容 パスワード

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

自分で 制御できる

基本 無防備

相手 次第

19/64

セキュリティの知識が必要な例 2

（少なくとも）あなたのパソコンとサーバーの間は 情報が守られます

20/64

サーバーとサーバーの間の現状



Googleがレポートを出しました。

 「透明性レポート より安全なメール」で検索。

 結局のところ、プロバイダ依存。

21/64

PGP(Pretty Good Privacy)



PGPは、

「クライアントとクライアント間」の、

データを暗号化するための手法。



Aliceが公開鍵暗号方式で暗号化・認証用データ作成

を行う。Bobは復号や認証用データの確認を行う。

 ようするに、「クライアントとクライアント間」で、内容を 暗号化する。認証もできる。

 パスワードについては何もしないので、他の「クライア ントとサーバー間」の暗号化手法を同時に使用する

 一般にあまりに普及してない。

22/64

アリスのが送るメールを暗号化。

認証用のデータ付き。

PGP

メールの内容

サーバー サーバー パソコン

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

さｌｋｄｆｊｌ

パスワード

メールの内容

メールの内容 パスワード 盗聴防止

改竄防止

盗聴防止 改竄防止

なりすまし防止

盗聴可能

盗聴可能

盗聴防止 改竄防止

明日、10時

明日、10時

23/64

今までのことで 守れるもの 守れないもの

24/64

今までやってきたこと

 情報セキュリティについて、主に通信関係についての 技術を取り扱ってきた。

 公開鍵暗号

 秘密鍵暗号

 ハイブリッド暗号

 一方向関数

 認証

 鍵配送問題

 パスワード



SSH



HTTPS

 メールに関するセキュリティ

25/64

Alice

Bob

通信関係技術で守れるもの (1)

盗聴防止 改ざん防止

なりすまし 防止 守れる部分

 今まで講義で取り扱った情報通信技術で、通信関係 は守れる。

26/64

Alice

Bob

通信関係技術で守れるもの (2)

盗聴防止 改ざん防止

なりすまし 防止 守れる部分

範疇外

範疇外

 今までの取り扱った情報通信技術では、「人に関する セキュリティ」や「計算機管理そのもの」は、フォローし ていない。

27/64

セキュリティ的な事故のニュース



Googleで「情報流出 原因」で検索してみよう。

 ニュースになる多くの事件は、「人」が「問題になる行 動」を起こした結果、生じてしまうことも多い。

28/64

これからからやること

 情報セキュリティについて、主に通信関係以外の事 柄を取り扱う。

情報流出と人的なセキュリティ





（ライセンス）



 機械は技術で守る。人はルールで縛る。

セキュリティの重要性

 どんなに技術がすぐれていても、それを扱っているの は、あくまでも「人」。

 「人」は、最大のセキュリティホールになりうる。

 セキュリティパッチの当て忘れ

 情報のずさんな管理

セキュリティを維持するためには、

技術だけではなく、運用等も大事

情報セキュリティポリシー

31/64

情報セキュリティポリシー

 組織におけるセキュリティ対策を実施するため、

「基本的なセキュリティ方針」を明確にしたもの。

 関連文章は次の3つ：

 情報セキュリティ基本方針

 情報セキュリティ対策基準

 情報セキュリティ実施手順

セキュリティ ポリシー

32/64

個々の文章

 情報セキュリティ基本方針：

 情報セキュリティに対する、基本的な立場（目的）

や、用語の定義、文章構成等を示す。

 情報セキュリティ対策基準：

 基本方針の目的を達成するために、「何を守るの か」「どのような組織体制で臨むのか」「どのぐら い守るのか」の基準を示す。

 情報セキュリティ実施手順：

 具体的にどのように行動するかを示す。

33/64

情報セキュリティの評価

 実施する際には、

 何を守るべきなのか

 どのぐらいの強さで守るのか

 どのぐらいコストとリスクがあるのか

を評価する必要があります。

書類？個人情報？

紙？ハードディスク？

部屋に施錠すれば大丈夫？ 金庫に入れる？

漏れた場合の影響は？ 日常的に運用できる体制か？

特に守らなければならないものはどれか？

34/64

情報資産と情報の分類

 情報資産：

 守るべきターゲット

 「情報そのもの」や「情報を含んだ物体」も含まれてい る。つまり、「紙」も情報資産になりうる。

 情報資産は、重要性に応じてランク付けされる。

たとえば、「公開情報」「社外秘情報」「機密情報」等。

35/64

県大の情報セキュリティポリシー

36/64

県大の情報セキュリティポリシー

 情報セキュリティ基本方針：

策定済み

 情報セキュリティ対策基準：

策定済み

 情報セキュリティ実施手順：

対策基準策定後に作成する？（予定）

37/64

 静岡県立大学 基本方針 で検索

ファイルのダウンロード

38/64

何が書かれているのか (1)

 第

1



39/64

何が書かれているのか (2)

 第2条：





40/64

何が書かれているのか (3)

 第3条、第4条





何が書かれているのか (4)

 第

5

6





何が書かれているのか (5)

 第

7

8







43/64

何が書かれているのか (6)

 第

9

10

11





44/64

県大の情報セキュリティ対策基準

45/64

 情報セキュリティ基本方針 第

9



情報セキュリティ対策を実施するために、具 体的な遵守事項及び判断基準等を定める情 報セキュリティ対策基準を策定する。なお、

情報セキュリティ対策基準は、公にすること により法人の業務運営に重大な支障を及ぼ すおそれがあることから非公開とする。

学外に内容を漏らさないこと

取り扱いにおける注意点

46/64

ファイルのダウンロード

 静岡県立大学 基本方針

で検索をしたときに出た、対策基準のリンクをクリック。

 ログインして、ファイルをダウンロード。

47/64

何が書かれているのか

48/64

情報セキュリティ実施手順

 対策基準を満たすために、具体的にどのように行動す るかが記載されている。

 記載方法は様々。

適用される部署毎に文章が違う場合もある。





49/64

その他の文章 (1)

 学生便覧P6

50/64

その他の文章 (2)

 学生便覧P7

51/64

その他の文章(3)

 公式Webサイト：学内情報ネットワークの利用について

52/64

その他の文章(4)

演習：

情報流出の事例

課題と課題の提出

 次のことを調べ、レポートにまとめて提出する

「情報流出」等をキーワードに検索し、どのような事 故があったかとその原因を調べる。

 ファイル名は学籍番号の末尾に

k をつけたもの。